VPN na FRITZ!Boxu se povezuje, ali ništa ne odgovara: WireGuard ili IPSec
Povezani FRITZ!Box tunel koji ne doseže LAN problem je adresiranja. Provjerite četiri IPSec polja ili WireGuard peer prije ponovnog uvoza.
Tunel javlja da je povezan, ikona je zelena, a ništa na kućnom LAN-u ne odgovara. To je najčešća pritužba na daljinski pristup FRITZ!Boxu i gotovo nikada nije sam tunel. Plan adresa, identitet podmreže ili klijentova tablica usmjeravanja nisu ispravni. Koje ćete od toga na kraju otklanjati, ovisi o tome jeste li odabrali WireGuard ili stariji IPSec Fernzugang, pa počnite tako da znate što ste zapravo konfigurirali.
Tunel se digne, a LAN ostane nijem
Tunel koji se uspostavi dokazuje da su ključevi i krajnja točka ispravni. Ne dokazuje da je klijent dobio adresu na koju kutija može usmjeravati, ni da klijent zna koji prefiksi pripadaju tunelu. To su dva odvojena uspjeha i samo drugi omogućuje da dosegnete pisač.
Prvo provjerite klijentovu adresu, zatim njegovu tablicu usmjeravanja.
Ako dodijeljena adresa leži izvan podmreže LAN-a, kutija nema kamo usmjeravati natrag. Ako leži unutar DHCP raspona, kutija može istu adresu dodijeliti lokalnom uređaju. Oboje daje tunel koji se povezuje i LAN koji vas ignorira.
Što svaka opcija zapravo konfigurira
Opcija IPSec generira konfiguracijsku datoteku za jednog korisnika, u kojoj su unaprijed dijeljeni ključ i adresiranje. Uvozite je u klijenta koji govori isti profil, što na Windowsu obično znači proizvođačev alat, a ne ugrađeni klijent. Opcija WireGuard generira peer za jedan uređaj: par ključeva, adresu unutar tunela i krajnju točku.
Ta razlika određuje vaš model održavanja. Svaki WireGuard uređaj zaseban je peer s vlastitim ključem, pa opoziv izgubljenog telefona znači brisanje jednog peera dok ostali nastavljaju raditi. IPSec opoziva promjenom zajedničke tajne ili korisničke konfiguracije, što je grublje i pogađa svaki uređaj koji ga koristi.
Nijedna opcija nije zastarjela. IPSec put ostaje podržan svugdje gdje udaljena strana ne može pokretati WireGuard.
IPSec polja koja daju mrtav tunel
Četiri vrijednosti moraju se slagati s vašim LAN-om, a tri od njih zataje na način koji izgleda kao pokvaren tunel.
| Value | What breaks when it is wrong |
|---|---|
| LAN subnet | The client routes nothing, or routes the wrong prefix |
| Network address | The configuration looks valid and the tunnel never establishes |
| DHCP range | No address is left to assign to tunnel clients |
| DNS server | The tunnel works and name resolution does not |
Mrežna adresa je ona koja ljude prevari. Podmreža se identificira svojom prvom adresom, koja obično završava nulom, a upis adrese hosta na to mjesto daje konfiguraciju koja izgleda posve vjerodostojno i nikada se ne poveže. DHCP raspon važan je iz drugog razloga: klijenti tunela obično se dodjeljuju iznad njega, pa raspon koji pojede cijelu podmrežu ne ostavlja ništa za dodjelu.
Preklapajuće podmreže drugi su klasičan slučaj. Ako udaljeni LAN kojem se pridružujete koristi isti prefiks kao LAN na kojem sjedite, usmjeravanje ih ne može razlikovati, a prenumeracija jedne strane jedini je stvarni popravak. Nijedna količina klijentske konfiguracije to ne rješava.
Zašto WireGuard zataji drukčije
WireGuard nema unaprijed dijeljeni ključ koji se može pogrešno upisati, pa se njegove pogreške grupiraju oko definicije peera. Popis dopuštenih IP adresa koji izostavi prefiks LAN-a daje tunel koji ne nosi ništa, jer klijent nikada u njega ne šalje promet namijenjen LAN-u. Zastario javni ključ na bilo kojoj strani daje rukovanje koje se nikada ne dovrši. Nedostajuća krajnja točka ili pogrešan port daju tišinu umjesto pogreške.
Usporedite obje strane polje po polje umjesto da ponovno uvozite datoteku i nadate se.
Jedini zajednički kvar je sudar podmreža. WireGuard će rado izgraditi tunel prema mreži koja se preklapa s vašom lokalnom, a zatim tablica usmjeravanja odlučuje koji će od dvaju identičnih prefiksa pobijediti.
Dokažite to izvana, pa zadržite put natrag unutra
Testirajte s mobilne veze, nikada iz unutrašnjosti LAN-a, jer iznutra testirate put koji uopće ne uključuje tunel. Zabilježite koji port svaka opcija koristi prije nego što je omogućite i proslijedite taj port na kutiju.
Čuvajte generiranu datoteku negdje gdje možete doći bez tunela i usput zabilježite vanjsko ime kutije.
Konfiguracija koja nikada nije isprobana izvana plan je, a ne radni put daljinskog pristupa. Testirajte jednog LAN hosta po adresi, a ne po imenu, da se kvar DNS-a ne zamijeni s kvarom usmjeravanja.